Notification volontaire d’informations pertinentes
Directive sur la cybersécurité des réseaux et systèmes d'information · UE 2022/2555
Notification volontaire d’informations pertinentes
1. Les États membres veillent à ce que, outre l’obligation de notification prévue à l’article 23, des notifications puissent être transmises à titre volontaire aux CSIRT ou, s’il y a lieu, aux autorités compétentes par:
| a) | les entités essentielles et importantes en ce qui concerne les incidents, les cybermenaces et les incidents évités; |
| b) | les entités autres que celles visées au point a), indépendamment du fait qu’elles relèvent ou non du champ d’application de la présente directive, en ce qui concerne les incidents importants, les cybermenaces ou les incidents évités. |
2. Les États membres traitent les notifications visées au paragraphe 1 du présent article conformément à la procédure énoncée à l’article 23. Les États membres peuvent traiter les notifications obligatoires en leur donnant la priorité par rapport aux notifications volontaires.
Lorsque cela est nécessaire, les CSIRT et, le cas échéant, les autorités compétentes fournissent aux points de contact uniques les informations relatives aux notifications reçues en vertu du présent article, tout en garantissant la confidentialité et une protection appropriée des informations fournies par l’entité à l’origine de la notification. Sans préjudice de la prévention et de la détection d’infractions pénales et des enquêtes et poursuites en la matière, un signalement volontaire n’a pas pour effet d’imposer à l’entité ayant effectué la notification des obligations supplémentaires auxquelles elle n’aurait pas été soumise si elle n’avait pas transmis la notification.
Au Luxembourg, l'ILR est l'autorité compétente qui reçoit les notifications volontaires article 30 via son CSIRT national (GOVCERT.LU pour le secteur public, CIRCL pour le secteur privé et les communes). La loi du 28 juillet 2023 relative à la cybersécurité, modifiée par la loi du 28 juillet 2025, confirme que les entités hors champ NIS 2 (PME non désignées, associations, indépendants) peuvent également notifier volontairement à CIRCL, sans que cela ne déclenche d'inscription d'office sur la liste des opérateurs essentiels ou importants.
Pratique Luxgap : routez vos notifications volontaires vers CIRCL plutôt que vers l'ILR directement, le CSIRT garantit une meilleure confidentialité opérationnelle et peut anonymiser le retour d'expérience avant tout partagé avec l'autorité.